Si instala algún tipo de distribuciones de Linux en su computadora, ¿existe la posibilidad de que sus propietarios lo espíen?
Por ejemplo, ¿pueden Ubuntu, Kali o Arch linux enviar datos a sus propietarios sobre lo que está haciendo? Hablando de Kali, creo que sería interesante para la NSA o cualquier otra corporación saber por qué lo necesita y qué está haciendo con él ... Es solo una cuestión de seguridad para ellos ...
Cada vez que ejecuta el código adquirido de alguien que no ha revisado completamente y se ejecuta en un sistema conectado a Internet, existe el riesgo de que la persona que escribió o implementó ese código pudiera transmitir datos sobre su uso a otro sistema. Eso es cierto independientemente del sistema operativo. Así que sí, es posible.
La pregunta entonces se convierte en "ha ocurrido esto en el pasado" y "es probable que suceda en el futuro". El único caso que viene a la mente cuando las personas pudieron haber estado enviando datos de una distribución de Linux a terceros sin darse cuenta fue el de Ubuntu Ubuntu Lente de compra que podría ser considerado como un software espía y fue considerado por algunos.
Fuera de eso, no tengo conocimiento de ningún caso de espionaje a gran escala de las mencionadas distribuciones de Linux. Como usted dice, las distros pentest como kali son obviamente un objetivo atractivo, pero es más probable que sus usuarios noten una transmisión indiscriminada de datos de sus sistemas.
En última instancia, todo se reduce a la confianza. Al ejecutar el código que pertenece a otra persona, usted confía en ellos (piense que la confianza en este contexto es "el poder de traicionar") con cualquier información que ingrese en ese sistema.
Cómo establecer la confianza en un sistema es una pregunta realmente buena y que, por lo que puedo ver, está lejos de ser respondida.
Hay muchas distribuciones de Linux con diferentes modelos de negocios. Si bien la mayoría de ellos probablemente no espían activamente a sus usuarios, algunos lo hacen deliberadamente:
Red Star Linux de Corea del Norte inserta rastreador de contenido de serie astuto
El analista de seguridad de ERNW, Florian Grunow, dice que el sistema operativo Red Star Linux de Corea del Norte está rastreando a los usuarios etiquetando el contenido con etiquetas ocultas únicas ...
Para responder a tu pregunta, necesito mencionar otro producto de código abierto (OpenSSL) para hacer un paralelo con Linux y otros proyectos de código abierto ; así que permítame presentarle una breve historia al respecto y espero que entienda la lógica:
HeartBleed es un vulnerabilidad introducida por primera vez por Stephen Henson solo una hora antes de la víspera de año nuevo 2011 . Para ser más precisos, es Robin Seggelmann , que en ese momento era un Ph.D. estudiante en la Universidad de Duisburg-Essen que desarrolló la extensión HeartBeat para OpenSSL ( HeartBeat ya estaba presente en SSL2.0 especificación) y lo sugirió al OpenSSL El proyecto del desarrollador Stephen Henson, que no pudo encontrar el error y lo cometió en su repositorio. Otros sugieren que esta vulnerabilidad fue conocida y explotada hace mucho tiempo antes de que se anuncie públicamente.
¿Pero por qué menciono esto? Para hacerle saber que con el software de código abierto, al menos siempre puede comprobarlo usted mismo, especialmente si está trabajando en este campo de seguridad, si hay algún problema. El error HeartBleed siempre se ha visto públicamente por lo que teóricamente cualquier persona interesada podría detectarlo antes de eso investigador de seguridad de Google el 7 de abril de 2014. Pero en la práctica, nadie lo hizo (o tal vez los que lo descubrieron no lo revelaron y prefirieron aprovéchalo para sus objetivos personales).
Esta breve historia se aplica a todo el software de código abierto: teóricamente te ofrece la posibilidad de comprobar todo por ti mismo o con tu equipo y nada puede evitarlo. Eso ya es una gran ventaja y muchas vulnerabilidades de seguridad han sido prevenidas por las comunidades benevolentes. Pero en la práctica, ¿cuántas personas (estoy hablando de las personas que trabajan en el campo de la seguridad) tienen tiempo y habilidades para hacerlo? Y en caso de que alguien descubra una vulnerabilidad de seguridad en un proyecto de código abierto: ¿tendría la voluntad de revelarlo o simplemente aprovecharlo? Sin embargo, hay una cosa importante que mencionar acerca de HeartBleed: solo Stephen ha sido un desarrollador permanente, otros 11 miembros del proyecto OpenSSL no tienen nada que ver con la informática, y solo otro desarrollador lo ha estado ayudando de vez en cuando, a diferencia de otro gran proyecto de fuente abierta como Ubuntu que mencionó, por lo que, en teoría, la naturaleza de los riesgos puede ser menor en este caso.
Lea otras preguntas en las etiquetas operating-systems linux kali-linux